Un ciberdelincuente de habla china, bautizado como ‘Gambling Goblin’ por Check Point Research, está comprometiendo sitios web gubernamentales brasileños y convirtiéndolos en infraestructura para una operación de fraude a gran escala.
Según Check Point, el grupo instala módulos maliciosos que convierten silenciosamente estos servidores en proxies inversos para contenido de phishing, suplantando la identidad de Google Play, Microsoft Store y Amazon.
El modus operandi del grupo es comprometer servidores web confiables y de alta reputación, especialmente en Brasil, donde esta estrategia está más avanzada. Los atacantes despliegan un conjunto de herramientas Linux altamente ofuscadas, un descargador personalizado, varias puertas traseras, un programa para robar credenciales y un agente de reconocimiento.
Estos módulos Apache personalizados redirigen silenciosamente a los visitantes a páginas de phishing, sin mostrar jamás un dominio externo en la barra del navegador.
TE PUEDE INTERESAR: Nueva tecnología de Arm potenciará la IA y los juegos en celulares
Qué debes saber
- Un ciberdelincuente de habla china, apodado «Gambling Goblin», está comprometiendo sitios web gubernamentales brasileños.
- Los atacantes instalan módulos maliciosos que convierten silenciosamente estos servidores en proxies inversos para contenido de phishing.
- Las páginas de phishing suplantan la identidad de Google Play, Microsoft Store y Amazon, promoviendo juegos de azar y apuestas deportivas en línea.
- Esta campaña ya está adaptada para audiencias vietnamitas, españolas e inglesas, lo que indica que se trata de un modelo diseñado para expandirse.
- La amenaza no se limita al fraude SEO; dado que las páginas de phishing suplantan tiendas de aplicaciones legítimas, la misma infraestructura podría distribuir aplicaciones maliciosas directamente a las víctimas.
- Este abuso planificado y metódico de la confianza institucional plantea un riesgo significativo para la seguridad cibernética global.
Qué deben hacer los defensores
- Revisa las configuraciones de Apache y los módulos instalados. Busca archivos .so inesperados, especialmente aquellos con marcas de tiempo que coincidan con módulos legítimos como mod_ssl o mod_suexec.
- Esté atento a la eliminación de encabezados de seguridad. La ausencia repentina de encabezados Content-Security-Policy en rutas URL específicas es una clara señal de que se está inyectando un comportamiento de proxy inverso.
- Las organizaciones del sector público deben considerar la reputación de su dominio como un activo que deben proteger. Un dominio .gov comprometido no solo perjudica a sus propios usuarios, sino que también puede utilizarse para blanquear la confianza y cometer fraudes dirigidos a millones de personas.
- Los equipos de seguridad deberían buscar procesos enmascarados y módulos Apache maliciosos, no solo malware en los puntos finales.
Contenido generado con IA y editado por el equipo editorial.
Foto: Check Point.